很多企业部署站点到站点VPN、远程用户接入VPN的时候，静态路由是最常用的流量调度方式，不少运维人员配置完之后经常出现跨站点资源访问不通、内网流量漏走公网的问题，很多时候排查数小时找不到根因，其实大部分问题都出在VPN静态路由的配置疏漏上。本文就盘点高频的配置错误，给出可落地的排查步骤，帮运维人员避开常见的配置坑。
下一跳指向错误的常见场景
很多刚接触VPN配置的运维，容易把VPN静态路由的下一跳直接填成对端站点的内网网关地址，这是非常典型的低级错误，VPN下载出现这类问题后几乎所有指向对端网段的流量都会直接中断。
正常来说，站点到站点VPN的静态路由，下一跳应该指向本地VPN隧道的虚拟出接口地址，或者是本地VPN网关预设的隧道转发专属条目，如果你直接把下一跳设成对端内网网关，本地路由表根本找不到对应的跨网转发路径，流量刚发出去就会被本地设备直接丢弃。
排查这个问题的时候，你可以先登录本地VPN网关设备，查看路由表中对应VPN网段的路由条目，确认下一跳的指向是否和隧道接口的路由优先级匹配，不要把普通内网静态路由的配置逻辑直接套用到VPN场景里。
运维人员现场排查VPN静态路由的配置错误问题
路由优先级冲突导致的VPN流量逃逸
很多人配置VPN静态路由的时候，没有注意路由优先级的数值设置，导致同网段的普通静态路由、直连路由优先级比VPN静态路由更高，本该走隧道的流量直接从本地公网接口发出去，根本进不了VPN加密通道。
这种问题的典型表现是，你用traceroute追踪去对端内网的流量，发现路径里根本没有VPN隧道的节点，直接跳转到公网运营商的路由节点，不仅跨站点访问不通，还可能导致内网敏感数据明文在公网传输，违反企业的网络安全规范。
排查的时候你可以在VPN网关上查看所有同目标网段的路由条目，对比它们的优先级数值，确保VPN专属的静态路由优先级高于普通公网路由和普通内网静态路由，避免流量被其他路由条目抢占。
路由条目和VPN感兴趣流不匹配的问题
这是出现频率最高的VPN静态路由常见配置错误，很多运维配置的时候，在VPN感兴趣流里只放了部分需要互访的网段，但是静态路由里却把整个大段内网网段都指向了VPN隧道，导致部分流量匹配不上VPN的加密规则，直接被设备丢弃。
反过来的情况也很常见，感兴趣流里放了很多网段，但是静态路由没有对应添加，流量根本没有被引到VPN隧道接口，自然也触发不了加密封装，挂梯子软件两端站点看起来VPN隧道状态是正常在线的，但就是部分网段访问不通。
排查这个问题的正确步骤，是先把VPN感兴趣流的两端网段整理成完整的清单，再和本地路由表里的VPN静态路由条目逐一比对，确保两个列表的网段范围完全对齐，不存在路由覆盖但感兴趣流没覆盖，或者感兴趣流覆盖但没有路由引导的情况。
跨站点回程路由缺失的隐蔽故障
很多人配置VPN静态路由的时候，只在本端网关配置了指向对端网段的路由，却忘了在对端站点的VPN网关上配置回程的静态路由，这种故障的表现非常迷惑，经常出现本端可以ping通对端服务器，但是对端主动访问本端资源完全没有响应的半通状态。
排查这类隐蔽故障的时候，不要只盯着单端设备的配置检查，要两端VPN网关的路由表都逐一核验，确认两端都存在指向对端内网网段的静态路由，且都正确指向了本地的VPN隧道接口。
最后还要提醒大家，每次调整VPN静态路由配置之后，不要只看隧道的在线状态，要立刻用不同网段的终端做双向访问测试，避免配置疏漏留下长期的网络隐患。
